Lecture des cookies via HTTPS configurés à l'aide de HTTP

Source

2010-01-29 Daniel Schaffer

Les cookies configurés avec le mot-clé "Secure" seront uniquement envoyés par le navigateur lors de la connexion par un moyen sécurisé (HTTPS). En dehors de cela, il n'y a pas de distinction - si "sécurisé" est absent, le cookie peut être envoyé via une connexion non sécurisée. En d'autres termes, les cookies dont vous souhaitez protéger le contenu doivent utiliser le mot clé sécurisé et vous ne devez les envoyer du serveur au navigateur que lorsque l'utilisateur se connecte via HTTPS.

HTTP: Cookie avec "Secure" sera retourné uniquement sur HTTPS connexions (inutile de faire, voir la note ci-dessous)
HTTPS: Cookie avec "Secure" sera être renvoyé uniquement sur HTTPS connexions
HTTP: Cookie w ithout "Secure" sera retourné sur HTTP ou HTTPS connexions
HTTPS: Cookie sans "Secure" sera retourné sur HTTP ou HTTPS connexions (pourrait fuir des informations sécurisées)

Référence: RFC 2109 Voir 4.2.2 (page 4), 4. 3.1

Note: Il n'est plus possible de définir des cookies "sécurisés" sur non sécurisés (par ex. HTTP) origines sur Firefox et Chrome après avoir implémenté le Strict Secure Cookies specification.

Source

2010-01-29 17:46:08 richq

Bonne info ... y a-t-il une spécification ou une référence quelque part qui possède cette information? –

Good ol 'RFC2109 http://www.w3.org/Protocols/rfc2109/rfc2109 Notez que "HTTPS" n'est pas mentionné, cela reste non spécifié ici. – richq

Merci, ajouté dans votre réponse, j'espère que cela ne vous dérange pas :) –

Lecture des cookies via HTTPS configurés à l'aide de HTTP

Répondre

Questions connexes